Sie betreiben eine VM-Skalierungsgruppe und mehrere Function Apps, die mit einer gemeinsamen, wiederverwendbaren Identität über Ressourcen und Regionen hinweg auf Azure Key Vault und Azure Storage zugreifen müssen. Die Identität muss länger existieren als jede einzelne Ressource. Die Workloads müssen auch OAuth-Tokens erhalten, um eine Partner-API aufzurufen, die Entra ID vertraut, ohne Geheimnisse zu speichern. Was sollten Sie tun? Jede richtige Antwort stellt einen Teil der Lösung dar.

Eine benutzerseitig zugewiesene verwaltete Identität ist die korrekte Wahl, da sie unabhängig von der Lebensdauer einer einzelnen Ressource existiert und mehreren Ressourcen zugewiesen werden kann, was die gemeinsame, wiederverwendbare Identität für Key Vault und Storage ermöglicht. Die Zuweisung der Rollen Key Vault Secrets User und Storage Blob Data Contributor gewährt die notwendigen Berechtigungen. Systemseitig zugewiesene Identitäten sind an die Lebensdauer einer Ressource gebunden und teilen keine Anwendungs-ID, was eine zentrale Berechtigungsverwaltung erschwert. Eine App-Registrierung mit Client-Geheimnis würde das Speichern und Verwalten von Geheimnissen erfordern, was die Anforderung, keine Geheimnisse zu speichern, verletzt. Das Anfordern von Tokens für die Partner-API über den verwalteten Identitäts-Endpunkt ist der vorgesehene Weg, um OAuth-Tokens ohne Speicherung von Geheimnissen zu erhalten, da verwaltete Identitäten automatisch Tokens für Entra ID-gesicherte Ressourcen abrufen können. Die Azure AD Graph API ist veraltet und sollte nicht verwendet werden.